專利名稱：具有端口綁定功能的三層交換設(shè)備和數(shù)據(jù)報文轉(zhuǎn)發(fā)方法
技術(shù)領(lǐng)域：
本發(fā)明涉及互聯(lián)網(wǎng)報文交換轉(zhuǎn)發(fā)領(lǐng)域，尤其涉及一種具有端口綁定功能的三層交換設(shè)備和數(shù)據(jù)報文轉(zhuǎn)發(fā)方法。
背景技術(shù)：
隨著數(shù)據(jù)通信中交換技術(shù)的不斷提高，具備三層交換功能的設(shè)備已經(jīng)得到廣泛應(yīng)用，三層交換設(shè)備在二層交換設(shè)備基礎(chǔ)上增加了路由功能，使得三層交換設(shè)備能夠跨VLAN線速轉(zhuǎn)發(fā)IPv6報文，從而大大增強(qiáng)了交換設(shè)備的性能。三層交換設(shè)備在交換芯片中包含IPv6第三層路由表項(xiàng)，其中包括主機(jī)路由表項(xiàng)和網(wǎng)段路由表項(xiàng)，主機(jī)路由表項(xiàng)指的是目的1 位的路由表項(xiàng)(如2001: 1下一跳)，網(wǎng)段路由表項(xiàng)指的是前綴長度小于1 位的路由表項(xiàng)0001::/16下一跳)。在目前的大部分應(yīng)用中，主機(jī)路由表項(xiàng)一般通過鄰居發(fā)現(xiàn)協(xié)議(Neighbor Discovery, ND)表項(xiàng)生成并下發(fā)到交換芯片中。由于ND協(xié)議默認(rèn)通信鏈路是安全可信的，而網(wǎng)絡(luò)中的節(jié)點(diǎn)無法判別來自鏈路的ND報文的合法性、有效性，如果鏈路中有惡意節(jié)點(diǎn)偽造自己的身份，發(fā)送特殊構(gòu)造的鄰居發(fā)現(xiàn)報文，就能夠?qū)δ繕?biāo)節(jié)點(diǎn)發(fā)起欺騙攻擊，由此會導(dǎo)致ND生成的主機(jī)路由表項(xiàng)也不穩(wěn)定，這樣會造成網(wǎng)絡(luò)報文不能正常轉(zhuǎn)發(fā)，影響交換設(shè)備的可靠性。由此，亟需一種可靠性、安全性更好的三層交換設(shè)備和數(shù)據(jù)報文轉(zhuǎn)發(fā)方法。

發(fā)明內(nèi)容
本發(fā)明的目的在于提供可靠性高，安全性好的三層交換設(shè)備和報文轉(zhuǎn)發(fā)方法。本發(fā)明一種具有端口綁定功能的三層交換設(shè)備，包括收發(fā)模塊、交換模塊、臨時綁定模塊、端口綁定模塊和路由更新模塊，其中所述收發(fā)模塊用于收發(fā)數(shù)據(jù)報文；所述交換模塊存儲有路由表，用于根據(jù)路由表對待轉(zhuǎn)發(fā)的數(shù)據(jù)報文進(jìn)行轉(zhuǎn)發(fā)；所述臨時綁定模塊用于在收到的網(wǎng)絡(luò)節(jié)點(diǎn)的地址分配請求報文時，創(chuàng)建包括該網(wǎng)絡(luò)節(jié)點(diǎn)唯一標(biāo)識以及所述地址分配請求報文接收端口的臨時請求綁定信息，并指示交換模塊將所述地址分配請求報文轉(zhuǎn)發(fā)至預(yù)先設(shè)置的可信端口 ；所述端口綁定模塊用于在從所述可信端口接收到地址分配服務(wù)器的地址分配響應(yīng)報文時，根據(jù)同一網(wǎng)絡(luò)節(jié)點(diǎn)的所述地址分配響應(yīng)報文和所述臨時請求綁定信息生成端口綁定信息，所述端口綁定信息將分配給所述網(wǎng)絡(luò)節(jié)點(diǎn)的地址、網(wǎng)絡(luò)節(jié)點(diǎn)唯一標(biāo)識和所述網(wǎng)絡(luò)節(jié)點(diǎn)接入端口綁定；所述路由更新模塊用于定期根據(jù)所述端口綁定信息更新所述交換模塊的路由表。優(yōu)選地，所述路由更新模塊將所述端口綁定信息中的網(wǎng)絡(luò)節(jié)點(diǎn)地址、網(wǎng)絡(luò)節(jié)點(diǎn)唯一標(biāo)識和所述網(wǎng)絡(luò)節(jié)點(diǎn)的接入端口分別對應(yīng)于下一跳主機(jī)地址、下一跳主機(jī)唯一標(biāo)識和下一跳出端口來更新路由表。優(yōu)選地，所述地址為IPv6地址，所述地址分配請求報文為DHCPve請求報文，所述地址分配響應(yīng)報文為DHCPv6響應(yīng)報文，所述網(wǎng)絡(luò)節(jié)點(diǎn)唯一標(biāo)識為MAC地址。優(yōu)選地，所述路由表為硬件主機(jī)路由表。優(yōu)選地，所述可信端口為連接到所述地址分配服務(wù)器的端口。本發(fā)明還公開了一種數(shù)據(jù)報文轉(zhuǎn)發(fā)方法，包括Si、三層交換機(jī)收到的網(wǎng)絡(luò)節(jié)點(diǎn)的地址分配請求報文時，創(chuàng)建包括該網(wǎng)絡(luò)節(jié)點(diǎn)唯一標(biāo)識以及所述地址分配請求報文接入端口的臨時請求綁定信息，并將所述地址分配請求報文轉(zhuǎn)發(fā)至預(yù)先設(shè)置的可信端口；S2、三層交換機(jī)從在從所述可信端口接收到地址分配服務(wù)器的地址分配響應(yīng)報文時，根據(jù)同一網(wǎng)絡(luò)節(jié)點(diǎn)的所述地址分配響應(yīng)報文和所述臨時請求綁定信息生成端口綁定信息，所述端口綁定信息將分配給所述網(wǎng)絡(luò)節(jié)點(diǎn)的地址、網(wǎng)絡(luò)節(jié)點(diǎn)唯一標(biāo)識和所述網(wǎng)絡(luò)節(jié)點(diǎn)接入端口綁定；S3、三層交換機(jī)定期根據(jù)所述端口綁定信息更新交換模塊的路由表；S4、三層交換機(jī)在收到需轉(zhuǎn)發(fā)數(shù)據(jù)報文時，查詢所述路由表確定下一跳目的地址進(jìn)行轉(zhuǎn)發(fā)。優(yōu)選地，所述步驟S3進(jìn)一步包括所述路由更新模塊將所述端口綁定信息中的網(wǎng)絡(luò)節(jié)點(diǎn)地址、網(wǎng)絡(luò)節(jié)點(diǎn)唯一標(biāo)識和所述網(wǎng)絡(luò)節(jié)點(diǎn)的接入端口分別對應(yīng)于下一跳主機(jī)地址、下一跳主機(jī)唯一標(biāo)識和下一跳出端口來更新路由表。優(yōu)選地，所述地址為IPv6地址，所述地址分配請求報文為DHCPv6請求報文，所述地址分配響應(yīng)報文為DHCPv6響應(yīng)報文，所述網(wǎng)絡(luò)節(jié)點(diǎn)唯一標(biāo)識為MAC地址。優(yōu)選地，所述路由表為硬件主機(jī)路由表。優(yōu)選地，所述可信端口為連接到所述地址分配服務(wù)器的端口。本發(fā)明通過偵聽網(wǎng)絡(luò)節(jié)點(diǎn)的DHCPv6請求過程，并將DHCPv6端口綁定信息轉(zhuǎn)化為硬件第三層路由信息，增加了 DHCPv6環(huán)境中交換機(jī)第三層路由表項(xiàng)的學(xué)習(xí)途徑，并有效的保證了路由表項(xiàng)的穩(wěn)定和安全。提高了三層交換機(jī)的安全性和可靠性。


圖1為本發(fā)明實(shí)施例的網(wǎng)絡(luò)系統(tǒng)的結(jié)構(gòu)示意圖；圖2為本發(fā)明實(shí)施例的三層交換機(jī)的結(jié)構(gòu)框圖；圖3為本發(fā)明實(shí)施例的數(shù)據(jù)報文轉(zhuǎn)發(fā)方法的流程圖。
具體實(shí)施例方式下面結(jié)合附圖對本發(fā)明的實(shí)施例作進(jìn)一步說明。動態(tài)主機(jī)配置協(xié)議版本6 (DHCPv6)是一種自動為用戶分配IPv6地址以及其他選項(xiàng)(如DNS)的協(xié)議，廣泛應(yīng)用于局域網(wǎng)中，DHCPv6簡化了網(wǎng)絡(luò)的部署、也易于進(jìn)行網(wǎng)絡(luò)的維護(hù)。DHCPv6偵聽(SNOOPING)是一種監(jiān)聽DHCPv6地址請求、分配過程的私有協(xié)議。該技術(shù)通過在交換機(jī)設(shè)置可信端口，判別DHCPv6地址請求、分配報文的合法性，同時，如果DHCPv6服務(wù)器分配IPV6前綴，則將分配的IPV6前綴、用戶MAC地址、用戶所在端口、端口所屬虛擬局域網(wǎng)標(biāo)識(VLAN ID)、租約時間等信息綁定組成一個用戶表項(xiàng)，從而形成DHCPv6SN00PING前綴數(shù)據(jù)庫；如果DHCPv6服務(wù)器分配IPV6地址，則根據(jù)IPV6地址、用戶MAC、用戶所在端口、端口所屬VLAN ID、租約時間等信息綁定組成一個用戶表項(xiàng)，從而形成DHCPv6 SNOOPING綁定數(shù)據(jù)庫。本發(fā)明利用DHCPv6 SNOOPING的上述特性來實(shí)現(xiàn)圖1為本發(fā)明實(shí)施例的網(wǎng)絡(luò)系統(tǒng)的結(jié)構(gòu)示意圖，如圖1所示，所述網(wǎng)絡(luò)系統(tǒng)包括網(wǎng)絡(luò)節(jié)點(diǎn)100、具有偵聽功能的三層交換機(jī)200以及DHCPV6服務(wù)器300，其中，網(wǎng)絡(luò)節(jié)點(diǎn)100通過三層交換機(jī)200向DHCPv6服務(wù)器300請求分配IPv6地址，DHCPv6服務(wù)器300用于根據(jù)網(wǎng)絡(luò)節(jié)點(diǎn)100的請求報文分配IPv6地址。三層交換機(jī)200用于交換轉(zhuǎn)發(fā)所述IPv6請求、分配報文，并在網(wǎng)絡(luò)節(jié)點(diǎn)100獲得IPv6地址后，在網(wǎng)絡(luò)節(jié)點(diǎn)100和互聯(lián)網(wǎng)之間轉(zhuǎn)發(fā)數(shù)據(jù)報文。其中，三層交換機(jī)在交換芯片中設(shè)置有第三層路由表，該路由表用于供交換芯片查詢以對需要轉(zhuǎn)發(fā)的數(shù)據(jù)報文進(jìn)行路由。圖2是本發(fā)明實(shí)施例的三層交換機(jī)的結(jié)構(gòu)框圖，如圖2所示，所述三層交換機(jī)包括收發(fā)模塊201、交換模塊202、臨時綁定模塊203、端口綁定模塊204、路由更新模塊205。其中，所述收發(fā)模塊從不同的端口接收/發(fā)送數(shù)據(jù)報文交由交換模塊轉(zhuǎn)發(fā)；所述交換模塊202根據(jù)第三層路由表項(xiàng)進(jìn)行數(shù)據(jù)包路由轉(zhuǎn)發(fā)；所述臨時綁定模塊203在收到的網(wǎng)絡(luò)節(jié)點(diǎn)100的DHCv6P請求報文時，為該網(wǎng)絡(luò)節(jié)點(diǎn)100創(chuàng)建一個臨時請求綁定，提取DHCPv6請求報文中的MAC地址以及接收該請求報文的端口和VLAN ID保存到該網(wǎng)絡(luò)節(jié)點(diǎn)的臨時請求綁定信息中，并將該DHCPv6請求報文轉(zhuǎn)發(fā)至預(yù)先設(shè)置的可信端口 ；所述端口綁定模塊204用于在從可信端口接收到DHCPv6響應(yīng)報文時(該響應(yīng)報文中包括請求網(wǎng)絡(luò)節(jié)點(diǎn)MAC、分配給該網(wǎng)絡(luò)節(jié)點(diǎn)的IPv6地址以及地址有效期等信息)，查詢所述臨時綁定模塊中的臨時請求綁定信息，如果存在相同MAC地址的臨時請求綁定信息，則創(chuàng)建DHCPv6網(wǎng)絡(luò)節(jié)點(diǎn)的端口綁定信息，從DHCPv6響應(yīng)報文中取出IP地址和地址有效期，并從臨時請求綁定信息中提取該網(wǎng)絡(luò)節(jié)點(diǎn)的MAC地址、接入端口和VLAN ID，將上述信息綁定保存在端口綁定信息中；如果不存在相同MAC地址的臨時請求綁定信息，則丟棄該DHCPv6響應(yīng)報文；所述路由更新模塊205用于定期讀取DHCPv6偵聽得到的各網(wǎng)絡(luò)節(jié)點(diǎn)的端口綁定信息，將所述端口綁定信息中的IPv6地址，MAC地址，接入端口和VLAN ID分別對應(yīng)作為主機(jī)路由表的下一跳目的主機(jī)地址，下一跳的目的MAC地址(DMAC)、出端口、出VLAN ID更新所述交換模塊中的主機(jī)路由表項(xiàng)。圖3是本發(fā)明實(shí)施例的報文轉(zhuǎn)發(fā)方法的流程圖，在系統(tǒng)配置時預(yù)先設(shè)置偵聽模塊設(shè)置交換機(jī)端口的DHCPv6綁定數(shù)目上限，并設(shè)置可信端口，所述可信端口為連接到DHCPv6服務(wù)器的端口。如圖3所示，所述方法包括Si、三層交換機(jī)200收到的網(wǎng)絡(luò)節(jié)點(diǎn)100的DHCv6P請求報文，為該網(wǎng)絡(luò)節(jié)點(diǎn)100創(chuàng)建一個臨時請求綁定，提取DHCPv6請求報文中的MAC地址以及接收該請求報文的端口和VLAN ID保存到該網(wǎng)絡(luò)節(jié)點(diǎn)的臨時請求綁定信息中，并將該DHCPv6請求報文轉(zhuǎn)發(fā)至預(yù)先設(shè)置的可信端口；S2、三層交換機(jī)200從可信端口接收DHCPv6響應(yīng)報文，該響應(yīng)報文中包括請求網(wǎng)絡(luò)節(jié)點(diǎn)MAC、分配給該網(wǎng)絡(luò)節(jié)點(diǎn)的IPv6地址以及地址有效期等信息，三層交換機(jī)的綁定模塊查詢臨時請求綁定信息，如果存在相同MAC地址的臨時請求綁定信息，則創(chuàng)建DHCPv6網(wǎng)絡(luò)節(jié)點(diǎn)的端口綁定信息，從DHCPv6響應(yīng)報文中取出IP地址和地址有效期，并從臨時請求綁定信息中提取該網(wǎng)絡(luò)節(jié)點(diǎn)的MAC地址、接入端口和VLAN ID，將上述信息綁定保存在端口綁定信息中，同時刪除該網(wǎng)絡(luò)節(jié)點(diǎn)的臨時請求綁定信息；如果不存在相同MAC地址的臨時請求綁定信息，則三層交換機(jī)200丟棄該DHCPv6響應(yīng)報文，退出方法流程；S3、三層交換機(jī)定期讀取DHCPv6偵聽得到的各網(wǎng)絡(luò)節(jié)點(diǎn)的端口綁定信息，將所述端口綁定信息中的IPv6地址，MAC地址，接入端口和VLAN ID分別對應(yīng)作為主機(jī)路由表的下一跳目的主機(jī)地址，下一跳的目的MAC地址(DMAC)、出端口、出VLAN ID更新所述交換模塊中的主機(jī)路由表項(xiàng)；S4、三層交換機(jī)在收到一個需轉(zhuǎn)發(fā)的IPv6報文時，根據(jù)目的地址查找交換芯片第三層路由表，如果命中三層主機(jī)路由表項(xiàng)，則根據(jù)所述主機(jī)路由表項(xiàng)中的下一跳目的MAC等信息封裝報文的二層信息并轉(zhuǎn)發(fā)報文。本發(fā)明通過偵聽網(wǎng)絡(luò)節(jié)點(diǎn)的DHCPv6請求過程，并將DHCPv6端口綁定信息轉(zhuǎn)化為硬件第三層路由信息，增加了 DHCPv6環(huán)境中交換機(jī)第三層路由表項(xiàng)的學(xué)習(xí)途徑，并有效的保證了表項(xiàng)的穩(wěn)定和安全。上述僅為本發(fā)明的較佳實(shí)施例及所運(yùn)用技術(shù)原理，任何熟悉本技術(shù)領(lǐng)域的技術(shù)人員在本發(fā)明揭露的技術(shù)范圍內(nèi)，可輕易想到的變化或替換，都應(yīng)涵蓋在本發(fā)明的保護(hù)范圍內(nèi)。
權(quán)利要求
1.一種具有端口綁定功能的三層交換設(shè)備，包括收發(fā)模塊、交換模塊、臨時綁定模塊、端口綁定模塊和路由更新模塊，其中所述收發(fā)模塊用于收發(fā)數(shù)據(jù)報文；所述交換模塊存儲有路由表，用于根據(jù)路由表對待轉(zhuǎn)發(fā)的數(shù)據(jù)報文進(jìn)行轉(zhuǎn)發(fā)；所述臨時綁定模塊用于在收到的網(wǎng)絡(luò)節(jié)點(diǎn)的地址分配請求報文時，創(chuàng)建包括該網(wǎng)絡(luò)節(jié)點(diǎn)唯一標(biāo)識以及所述地址分配請求報文接收端口的臨時請求綁定信息，并指示交換模塊將所述地址分配請求報文轉(zhuǎn)發(fā)至預(yù)先設(shè)置的可信端口；所述端口綁定模塊用于在從所述可信端口接收到地址分配服務(wù)器的地址分配響應(yīng)報文時，根據(jù)同一網(wǎng)絡(luò)節(jié)點(diǎn)的所述地址分配響應(yīng)報文和所述臨時請求綁定信息生成端口綁定信息，所述端口綁定信息將分配給所述網(wǎng)絡(luò)節(jié)點(diǎn)的地址、網(wǎng)絡(luò)節(jié)點(diǎn)唯一標(biāo)識和所述網(wǎng)絡(luò)節(jié)點(diǎn)接入端口綁定；所述路由更新模塊用于定期根據(jù)所述端口綁定信息更新所述交換模塊的路由表。
2.如權(quán)利要求1所述的具有端口綁定功能的三層交換設(shè)備，其特征在于所述路由更新模塊將所述端口綁定信息中的網(wǎng)絡(luò)節(jié)點(diǎn)地址、網(wǎng)絡(luò)節(jié)點(diǎn)唯一標(biāo)識和所述網(wǎng)絡(luò)節(jié)點(diǎn)的接入端口分別對應(yīng)于下一跳主機(jī)地址、下一跳主機(jī)唯一標(biāo)識和下一跳出端口來更新路由表。
3.如權(quán)利要求1所述的具有端口綁定功能的三層交換設(shè)備，其特征在于所述地址為IPv6地址，所述地址分配請求報文為DHCPv6請求報文，所述地址分配響應(yīng)報文為DHCPv6響應(yīng)報文，所述網(wǎng)絡(luò)節(jié)點(diǎn)唯一標(biāo)識為MAC地址。
4.如權(quán)利要求1所述的具有端口綁定功能的三層交換設(shè)備，其特征在于所述路由表為硬件主機(jī)路由表。
5.如權(quán)利要求1所述的具有端口綁定功能的三層交換設(shè)備，其特征在于所述可信端口為連接到所述地址分配服務(wù)器的端口。
6.一種數(shù)據(jù)報文轉(zhuǎn)發(fā)方法，包括51、三層交換機(jī)收到的網(wǎng)絡(luò)節(jié)點(diǎn)的地址分配請求報文時，創(chuàng)建包括該網(wǎng)絡(luò)節(jié)點(diǎn)唯一標(biāo)識以及所述地址分配請求報文接入端口的臨時請求綁定信息，并將所述地址分配請求報文轉(zhuǎn)發(fā)至預(yù)先設(shè)置的可信端口；52、三層交換機(jī)從在從所述可信端口接收到地址分配服務(wù)器的地址分配響應(yīng)報文時，根據(jù)同一網(wǎng)絡(luò)節(jié)點(diǎn)的所述地址分配響應(yīng)報文和所述臨時請求綁定信息生成端口綁定信息，所述端口綁定信息將分配給所述網(wǎng)絡(luò)節(jié)點(diǎn)的地址、網(wǎng)絡(luò)節(jié)點(diǎn)唯一標(biāo)識和所述網(wǎng)絡(luò)節(jié)點(diǎn)接入端口綁定；53、三層交換機(jī)定期根據(jù)所述端口綁定信息更新交換模塊的路由表；54、三層交換機(jī)在收到需轉(zhuǎn)發(fā)數(shù)據(jù)報文時，查詢所述路由表確定下一跳目的地址進(jìn)行轉(zhuǎn)發(fā)。
7.如權(quán)利要求6所述的數(shù)據(jù)報文轉(zhuǎn)發(fā)方法，其特征在于所述步驟S3進(jìn)一步包括所述路由更新模塊將所述端口綁定信息中的網(wǎng)絡(luò)節(jié)點(diǎn)地址、網(wǎng)絡(luò)節(jié)點(diǎn)唯一標(biāo)識和所述網(wǎng)絡(luò)節(jié)點(diǎn)的接入端口分別對應(yīng)于下一跳主機(jī)地址、下一跳主機(jī)唯一標(biāo)識和下一跳出端口來更新路由表。
8.如權(quán)利要求6所述的數(shù)據(jù)報文轉(zhuǎn)發(fā)方法，其特征在于所述地址為IPv6地址，所述地址分配請求報文為DHCPv6請求報文，所述地址分配響應(yīng)報文為DHCPv6響應(yīng)報文，所述網(wǎng)絡(luò)節(jié)點(diǎn)唯一標(biāo)識為MAC地址。
9.如權(quán)利要求6所述的數(shù)據(jù)報文轉(zhuǎn)發(fā)方法，其特征在于所述路由表為硬件主機(jī)路由表。
10.如權(quán)利要求6所述的數(shù)據(jù)報文轉(zhuǎn)發(fā)方法，其特征在于所述可信端口為連接到所述地址分配服務(wù)器的端口。
全文摘要
本發(fā)明公開一種具有端口綁定功能的三層交換設(shè)備和數(shù)據(jù)轉(zhuǎn)發(fā)方法，所述交換設(shè)備包括收發(fā)模塊、交換模塊、臨時綁定模塊、端口綁定模塊和路由更新模塊，其中所述交換模塊存儲有路由表；所述臨時綁定模塊用于在收到的網(wǎng)絡(luò)節(jié)點(diǎn)的地址分配請求報文時，創(chuàng)建包括該網(wǎng)絡(luò)節(jié)點(diǎn)唯一標(biāo)識以及所述地址分配請求報文接收端口的臨時請求綁定信息；所述端口綁定模塊用于根據(jù)同一網(wǎng)絡(luò)節(jié)點(diǎn)的地址分配響應(yīng)報文和所述臨時請求綁定信息生成端口綁定信息，所述端口綁定信息將分配給所述網(wǎng)絡(luò)節(jié)點(diǎn)的地址、網(wǎng)絡(luò)節(jié)點(diǎn)唯一標(biāo)識和所述網(wǎng)絡(luò)節(jié)點(diǎn)接入端口綁定；所述路由更新模塊用于定期根據(jù)所述端口綁定信息更新所述交換模塊的路由表。
文檔編號H04L12/56GK102571592SQ20121001673
公開日2012年7月11日 申請日期2012年1月18日 優(yōu)先權(quán)日2012年1月18日
發(fā)明者梁小冰 申請人:神州數(shù)碼網(wǎng)絡(luò)(北京)有限公司